WORM_KELIHOS.TSH

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• {random directory}\{random file name 1}

Infiltra los archivos siguientes:

• {Drive Letter}:\Shortcut to {random file name 2}.lnk
• {Drive Letter}:\{Folder name}.lnk - points to malware copy {Drive Letter}:\{random file name 2}.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random parameter 1}{random parameter 2} = "{random directory}\{random file name 1}"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
DefaultCompressedRecord = "{random value}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
RecordModifiedMax = "{random value}=="

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
FlagsModifiedValid = "0"

HKEY_CURRENT_USER\Software\TansuTCP
ActiveModifiedTheme = "{random value}"

HKEY_CURRENT_USER\Software\TansuTCP
SizeCompletedValid = "{random value}=="

HKEY_CURRENT_USER\Software\TansuTCP
InfoPlayedCurrent = "0"

Propagación

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {Drive Letter}:\{random file name 2}.exe

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Request spam email messages structure and template
• Send spam email messages
• Send stolen information
• Get operating system information
• Get drive information
• List running processes
• Download and execute arbitrary files
• Update server with a list of compromised computers
• Manage registry
• Download updated copy of itself

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.92.60/index.htm
• http://{BLOCKED}.{BLOCKED}.92.60/install.htm
• http://{BLOCKED}.{BLOCKED}.29.191/index.htm
• http://{BLOCKED}.{BLOCKED}.29.191/search.htm
• http://{BLOCKED}.{BLOCKED}.99.41/default.htm
• http://{BLOCKED}.{BLOCKED}.99.41/index.htm
• http://{BLOCKED}.{BLOCKED}.99.47/default.htm
• http://{BLOCKED}.{BLOCKED}.99.47/index.htm
• http://{BLOCKED}.{BLOCKED}.26.213/home.htm
• http://{BLOCKED}.{BLOCKED}.26.213/install.htm
• http://{BLOCKED}.{BLOCKED}.41.85/defaul .htm
• http://{BLOCKED}.{BLOCKED}.41.85/install.htm
• http://{BLOCKED}.{BLOCKED}.50.176/install.htm
• http://{BLOCKED}.{BLOCKED}.50.176/online.htm
• http://{BLOCKED}.{BLOCKED}.50.176/search.htm
• http://{BLOCKED}.{BLOCKED}.50.176/setup.htm
• http://{BLOCKED}.{BLOCKED}.199.75/main.htm
• http://{BLOCKED}.{BLOCKED}.199.75/search.htm
• http://{BLOCKED}.{BLOCKED}.252.113/online.htm
• http://{BLOCKED}.{BLOCKED}.252.113/setup.htm
• http://{BLOCKED}.{BLOCKED}.101.47/default.htm
• http://{BLOCKED}.{BLOCKED}.101.47/start.htm
• http://{BLOCKED}.{BLOCKED}.245.128/online.htm
• http://{BLOCKED}.{BLOCKED}.245.128/welcome.htm
• http://{BLOCKED}.{BLOCKED}.43.230/default.htm
• http://{BLOCKED}.{BLOCKED}.43.230/file.htm
• http://{BLOCKED}.{BLOCKED}.79.46/default.htm
• http://{BLOCKED}.{BLOCKED}.79.46/start.htm
• http://{BLOCKED}.{BLOCKED}.152.225/default.htm
• http://{BLOCKED}.{BLOCKED}.152.225/online.htm
• http://{BLOCKED}.{BLOCKED}.43.85/search.htm
• http://{BLOCKED}.{BLOCKED}.43.85/index.htm
• http://{BLOCKED}.{BLOCKED}.65.82/welcome.htm
• http://{BLOCKED}.{BLOCKED}.65.82/default.htm